2018年已經(jīng)和我們說再見，而在這過去的一年里，網(wǎng)絡安全事件層出不窮，這其中出現(xiàn)了多起影響力頗大的用戶信息泄露事件，現(xiàn)在我們就來盤點2018年十大數(shù)據(jù)泄露安全事件。

 

1. Facebook：8700萬用戶數(shù)據(jù)泄露

2018年3月17日，美國紐約時報率先曝光了劍橋分析(Cambridge  Analytica)未經(jīng)用戶許可，擅自使用Facebook用戶個人信息的行為。此事一出立刻引起軒然大波，隨后英國高等法院授權對涉事單機構進行了搜查，并揭開了針對該事件司法調查的序幕。

針對沒有用戶的許可就使偷偷用個人信息數(shù)據(jù)一事，F(xiàn)acebook公開回應，承認劍橋分析公司不正當使用了8700萬未經(jīng)授權的用戶私人信息，這也遭到了國外網(wǎng)友的痛斥。這場風波還沒有過去，今年9月份，F(xiàn)acebook再次通告，黑客利用控制的40萬個賬戶獲得了3000萬Facebook用戶賬號的信息。他們可以在不輸入密碼的情況下，隨意登陸這些用戶的個人主頁，任意拿走想要的數(shù)據(jù)等。

從今年3月份，F(xiàn)acebook爆發(fā)的隱私泄露危機至今，公司股價一度蒸發(fā)590億美元，更讓扎克伯格難受的是，公司股東會聯(lián)名要求他交出權利(退出CEO之位)，與此同時，許多國家議會甚至要求扎克伯格親自出席用戶信息被盜、偷用的辯證會，最后這些統(tǒng)統(tǒng)被拒絕。

 

2. Under Armour：1.5億用戶信息泄露

2018年3月30日，美國運動品牌Under   Armour對外表示，旗下健身應用MyFitnessPal因存在數(shù)據(jù)漏洞而遭到黑客攻擊，一共有1.5億用戶的數(shù)據(jù)被泄露，這些數(shù)據(jù)中包含了用戶名、電子郵件地址和密碼等，不過官方強調，泄密數(shù)據(jù)并不包含駕駛證號、信用卡號、身份信息等更私密信息。

MyFitnessPal是Under   Armour收購的一家企業(yè)，主要提供運動健康飲食指導服務的應用，在北美地區(qū)頗受歡迎，用戶數(shù)量最高峰時接近2億，當傳出有1.5億用戶信息被黑客竊取后，Under  Armour官方表示，立刻要求MyFitnessPal用戶更改密碼。

 

3. MyHeritage：9200萬用戶信息泄露

相比其他用戶信息泄漏情況來說，MyHeritage用戶信息泄露后果可能很嚴重。這是一個家庭基因和DNA檢測的網(wǎng)站，用戶信息中存儲不但有私人信息，甚至還有個人的DNA測試結果。

2018年6月初，MyHeritage給出公告稱，網(wǎng)站服務器被攻擊，攻擊者從中截取了超過9200萬用戶信息，其中包含了電子郵件和hash密碼，官方則強調不包含支付卡的信息或DNA測試結果，不過MyHeritag還表示，用戶帳戶是安全的，因為密碼是使用每個用戶唯一的加密密鑰進行hash處理的，為了徹底解決這種攻擊，最終網(wǎng)站啟用了雙因子身份驗證(2FA)功能，即使黑客設法解密hash密碼，如果沒有第二步驗證碼，第一步的破解也將毫無用處。

 

4. AcFun：900萬條用戶數(shù)據(jù)泄露

2018年6月13日凌晨，AcFun彈幕視頻網(wǎng)(以下簡稱“A站”)突然發(fā)出公告稱，他們有800-1000萬左右的用戶數(shù)據(jù)被黑客竊取，隨后A站在公告中強調，2017年7月7日之后從未登陸過的用戶以及密碼強度低的用戶需要立刻更改密碼，而跟A站用戶信息中密碼保持一致的，也要一并更改。

黑客攻擊A站后竊取的用戶信息，很快就放在了暗網(wǎng)(就是黑暗網(wǎng)絡，又稱深層網(wǎng)絡或隱形網(wǎng)絡)售賣，并喊出900萬條用戶數(shù)據(jù)，售價40萬人民幣。如果購買者對信息真實性質疑，那么可以隨機抽取測試，此事對用戶造成了不小的影響。其實早在今年3月份，暗網(wǎng)論壇中就有人公開出售AcFun的一手用戶數(shù)據(jù)，數(shù)量高達800萬條，而價格僅為12000元，平均1元能買到800條。

為了挽回用戶，收購A站的快手第一時間表示，在技術和資金上全力支持A站提升安全能力，務必保證用戶的數(shù)據(jù)安全，避免類似事件發(fā)生。隨后A站升級了系統(tǒng)安全等級，對AcFun服務器做了全面系統(tǒng)加固，實現(xiàn)技術架構和安全體系的升級，以確保以后不會出現(xiàn)如此嚴重的泄露事件。

 

5. 前程無憂：195萬條個人求職簡歷泄露

2018年6月16日，有人在暗網(wǎng)開始叫賣招聘網(wǎng)站前程無憂(51job.com)用戶信息，其中涉及195萬用戶求職簡歷，隨后前程無憂方面確認部分用戶賬戶密碼被撞庫。

為了證實泄露數(shù)據(jù)的真實性，前程無憂方面還進行了一定的測試，結果發(fā)現(xiàn)信息是真實可靠的，不過官方強調，數(shù)據(jù)中絕大部分來自于一些郵箱泄露的賬戶密碼，且都是在2013年之前注冊。對此前程無憂強調，出現(xiàn)這樣的情況并非拖庫，而是惡意用戶通過這些已泄露的郵箱賬戶及密碼，對相應的站點進行登錄匹配，然后蓄意倒賣。

最后，前程無憂不愿意公開具體涉及的是哪家郵箱服務商，只是表示是2013年注冊的用戶，及時修改自己的帳號密碼，同時他們也表示已經(jīng)升級數(shù)據(jù)庫的安全等級，防止類似的情況再發(fā)生。

 

6. 圓通：10億條用戶信息數(shù)據(jù)被出售

2018年6月19日，一位ID為“f666666”的用戶公然在暗網(wǎng)上兜售圓通10億條快遞數(shù)據(jù)，這引發(fā)了外界的廣泛關注，按照賣家的說法，這些數(shù)據(jù)是2014年下旬的數(shù)據(jù)，數(shù)據(jù)信息包括寄(收)件人姓名，電話，地址等信息，都是圓通內部人士批量出售而來(只要快遞單信息進入電腦他們就可以獲取)。

隨后，有網(wǎng)友驗證了其中一部分數(shù)據(jù)，發(fā)現(xiàn)所購“單號”中，姓名、電話、住址等信息均屬實。對于這件事，圓通官方稱正在展開調查，但并沒有承認這些數(shù)據(jù)是不是從內部流出，只是表示，公司的技術部門通過多種技術手段預防信息外流，提高安全系數(shù)。

按照當時售價來說，用戶只要花430元人民幣即可購買到100萬條圓通快遞的個人用戶信息(10億條數(shù)據(jù)1比特幣)，而10億條數(shù)據(jù)則需要約43000元人民幣。能夠泄漏如此多用戶信息，且準確率這么高，外界普遍認為來源是圓通內部級別較高的工作人員。

按照刑法修正案(七)規(guī)定，出售、非法提供公民個人信息罪，處三年以下有期徒刑或者拘役，并處或者單處罰金，對于郵政企業(yè)、快遞企業(yè)來說，除了要做好安全措施，同時還要健全管理制度，杜絕從公司內部泄露快遞單信息的舉動。

 

7. 華住旗下多個連鎖酒店：2.4億入住記錄泄露

2018年8月28日，網(wǎng)上突然出現(xiàn)了華住旗下多個連鎖酒店入住信息數(shù)據(jù)售賣的行為，這引起了用戶的廣泛關注，畢竟數(shù)據(jù)涉及5億條的用戶個人信息及入住記錄，而這些泄密的數(shù)據(jù)中，包含的不少私密信息，比如身份證號、家庭住址、銀行卡號等等。

隨后，華住官方證實了這個旗下酒店用戶入住信息數(shù)據(jù)被販賣的行為，并希望售賣者立即停止這種行為，同時他們內部展開核查，針對旗下國內超過370座城市的3700多家酒店，由此可見這次用戶數(shù)據(jù)泄露有多嚴重。

經(jīng)過排查泄露的用戶數(shù)據(jù)多達2.4億條(66.2G)，這是酒店入住的記錄，還有約1.3億條入住登記身份信息(共22.3G)和約1.23億條官網(wǎng)注冊資料(共53G)，而這些數(shù)據(jù)中把用戶的姓名、銀行卡號、手機號、郵箱、開房人、家庭住址等等核心信息全部泄露出來。

對于華住酒店用戶入住信息被泄漏一事，安全人員分析后認為，是華住公司程序員將數(shù)據(jù)庫連接方式及密碼上傳到GitHub導致的，黑客利用這個漏洞，對華住酒店數(shù)據(jù)庫實施攻擊并拖庫。

 

8. 順豐：3億條用戶信息數(shù)據(jù)被出售

2018年8月底又是在暗網(wǎng)上，一個ID為“bijiaodiao1688”的用戶在公然售賣順豐快遞數(shù)據(jù)，其中牽扯到了3億用戶數(shù)據(jù)信息，售價是2個比特幣，而這些信息中包含了寄件人、收件人的姓名、地址、電話等，為了證明數(shù)據(jù)的準確性，購買者可以選擇先“驗貨”，驗貨數(shù)據(jù)量10萬條，驗貨費用0.01個比特幣。

按照當時0.01個比特幣大約為66.66美元的行情來看，這3億用戶數(shù)據(jù)在當時價值是92000元，從當時的交易情況來看，至少有超過90萬條的疑似順豐快遞用戶個人信息流向了市場。從一些匿名測試用戶反饋的數(shù)據(jù)來看，隨機抽選50個，準確率在90%以上，這真實性還是很嚇人的。

面對3億用戶數(shù)據(jù)泄露，順豐也是第一時間進行了回應，其強調早在2018年7月份，他們就已經(jīng)關注到暗網(wǎng)用戶發(fā)布的相關信息，并獲識了相關數(shù)據(jù)，但經(jīng)過核實這些并不是順豐的數(shù)據(jù)，同時官方也否認了外泄數(shù)據(jù)來自順豐內部，至于泄露源頭來自哪里官方并沒有說明。之前央視曾報道，2018年5月份有順豐員工故意泄露內部消息獲利事情。

至于最終這件事的結果是怎樣，順豐沒有及時通報，不過按照他們的表示，事情一出來的時，就第一時間向有關部門進行了報案，要求徹查泄密者到底是誰，泄密源到底出自哪里。

 

9. 萬豪喜達屋：5億客戶的用戶信息泄露

跟華住一樣，知名連鎖酒店萬豪也陷入了用戶數(shù)據(jù)被黑客盜取的情況。2018年11月30日，萬豪對外發(fā)出公告稱，旗下喜達屋酒店預訂系統(tǒng)2014年起遭網(wǎng)絡“黑客”入侵，泄露大約5億客戶的用戶信息。消息出來后，紐約大學教授卡普斯表示，萬豪在過去4年時間里一直使用錯誤的安全系統(tǒng)，是出事的主因。

經(jīng)過復查后得知，萬豪泄露的這5億用戶信息中，用戶的姓名、住址、電話號碼、電子郵件地址、護照號碼、信用卡等所有核心的信息統(tǒng)統(tǒng)被泄露出去，性質十分惡劣。隨后，美國5個州的總檢察長和英國信息專員對外表示，將徹底調查這件事，并讓萬豪付出相應的懲罰。

有美國訴訟集團代表眾多消費者向萬豪提起訴訟，索賠金額高達125億美元(僅相當于5億潛在被盜用戶中每人得到25美元的賠償)，之所以索賠如此多金額，主要還是萬豪在過去4年中，對旗下系統(tǒng)安全性沒有及時跟進，從而造成了如此惡意的用戶數(shù)據(jù)泄漏。目前他們仍然在評估這次泄漏事件帶來的影響，至于相應的賠償是否會跟進，也并不清楚。

 

       10. 60萬賬戶信息、410萬聯(lián)系人的12306數(shù)據(jù)疑似泄露

12月28日當天，網(wǎng)傳“包括60萬賬戶信息、410萬聯(lián)系人的12306數(shù)據(jù)”疑似流出，其中包括“ID、手機號、明文密碼、姓名、身份證號、郵箱、問題、答案”等內容，傳言在暗網(wǎng)售價20美元多條。

12月31日據(jù)北京市公安局網(wǎng)絡安全保衛(wèi)總隊微博消息，北京警方破獲一起侵犯公民個人信息案，網(wǎng)上販賣470余萬條疑似12306鐵路訂票網(wǎng)站用戶數(shù)據(jù)的犯罪嫌疑人陳某，已被刑拘。

經(jīng)訊問，陳某供述60余萬條用戶注冊信息，系其前期在網(wǎng)上非法購買所得，并非通過對12306官方網(wǎng)站技術入侵獲取。其余410余萬條鐵路乘客信息，系其利用上述用戶注冊信息，通過第三方網(wǎng)絡訂票平臺非法獲取。（以上信息整理于：硅谷分析獅）